BSI hält Gefahr noch nicht für gebannt

Der Vorsitzende des Parlamentarischen Kontrollgremiums, Henrichmann, sieht in den Vorgängen eine "neue Dimension der Cyberbedrohung". Henrichmann sagte dem "Handelsblatt", man erlebe gerade einen Wendepunkt. Künstliche Intelligenz mache aus Schwachstellen, die bisher als kaum ausnutzbar gegolten hätten, in kurzer Zeit "echte Einfallstore".

Der CDU-Politiker sprach von einer der ernstesten Sicherheitslücken der vergangenen Jahre. Der Fall zeige, wie verwundbar staatliche Einrichtungen seien.

Was ist das Problem?

Das Bundesamt für Sicherheit in der Informationstechnik (BSI) und Behörden weltweit hatten gestern vor einer hochkritischen Schwachstelle in der Programmiersprache PHP gewarnt. PHP ist eine der weltweit am häufigsten genutzten Technologien für den Betrieb von Webseiten und Online-Diensten. Die Programmiersprache läuft auf Webservern im Hintergrund und sorgt dafür, dass Inhalte dynamisch erzeugt werden, etwa bei Kontaktformularen, Kundenkonten, Online-Shops oder Nachrichtenportalen. Zahlreiche Behörden, Unternehmen und private Anbieter nutzen PHP für ihre Internetauftritte.

Die Sicherheitslücke betrifft sämtliche bekannten PHP-Versionen und Webseiten, die darauf basieren - potenziell viele Millionen weltweit. Hacker könnten sich über die Sicherheitslücke "direkten Zugriff" auf Datensysteme oder Server-Datenbanken verschaffen, erklärte die US-Behörde NSA.

Wann ist die Gefahr gebannt?

Am Mittwochnachmittag stellten die Entwickler von PHP Sicherheitsupdates zur Verfügung. Die Betreiber von Webseiten wurden aufgefordert, die Patches umgehend einzuspielen.

Doch auch anschließend bestehe noch akuter Handlungsbedarf, betonte der Vize-Präsident des BSI, Caspers. Wörtlich heißt es: "Wir halten eine kurzfristige, großflächige Ausnutzung innerhalb weniger Stunden nach Erscheinen der Sicherheitsupdates für wahrscheinlich: Angreifer können diese mittels KI-gestützter Werkzeuge innerhalb kurzer Zeit analysieren und entsprechende Exploits generieren." Das BSI empfiehlt, Webseiten vom Internet zu trennen, solange die Sicherheit nicht gewährleistet ist.

Nach Einschätzung von Fachleuten könnte es Monate dauern, bis alle betroffenen Systeme staatlicher, kommerzieller und privater Anbieter abgesichert sind. Auch der IT- und Serverexperte Manfred Kloiber vom Deutschlandfunk erwartet längerfristige Folgen. Problematisch seien ältere Anwendungen und Geräte, auf denen veraltete PHP-Versionen liefen . Dort reiche ein einfaches Update oft nicht aus, vielmehr müssten Systeme teilweise aufwendig umkonfiguriert oder neu programmiert werden.

Was fordern IT-Experten?

Der Karlsruher IT-Sicherheitsexperte Christoph Fischer sagte der Deutschen Presse-Agentur, Betreiber von Internetseiten müssten sich besser auf IT-Krisen wie die aktuelle vorbereiten. Notfallpläne sollten vorliegen, damit Sicherheitslücken schneller eingedämmt werden könnten.

Der Branchenverband Bitcom bedauerte, dass viele Betreiber von Online-Anwendungen nicht wüssten, welche Komponenten in ihrer Software enthalten sind. Ein solcher Überblick sei aber die Voraussetzung, um in solchen Lagen schnell reagieren zu können.

Wie ist der aktuelle Stand in Deutschland?

Heute früh waren zahlreiche Webseiten von Stadtverwaltungen wieder online. Die Internetseiten einiger Kommunen - etwa in Dresden, Gera und Dessau-Roßlau - sind dagegen weiterhin nicht erreichbar. Auch die Auftritte einiger Krankenhäuser und Universitäten sowie des Bundeskriminalamts blieben abgeschaltet.

Diese Nachricht wurde am 22.10.2026 im Programm Deutschlandfunk gesendet.